Serangan Hacktivist Meledak Setelah Operasi Militer AS–Israel ke Iran, Ratusan Target Diserang dalam Gelombang DDoS Global

Lonjakan aktivitas hacktivist dilaporkan terjadi secara luas setelah operasi militer terkoordinasi antara Amerika Serikat dan Israel terhadap Iran yang dikenal dengan nama sandi Epic Fury dan Roaring Lion. Peneliti keamanan siber memperingatkan bahwa konflik geopolitik tersebut kini juga memicu eskalasi di ranah digital, dengan serangkaian serangan siber yang menargetkan organisasi pemerintah, infrastruktur publik, dan sektor industri di berbagai negara.

Laporan terbaru dari perusahaan keamanan siber Radware menyebutkan bahwa ancaman hacktivist di kawasan Timur Tengah menunjukkan pola yang sangat tidak seimbang, dengan dua kelompok utama yang mendominasi sebagian besar aktivitas serangan dalam periode singkat. Kelompok bernama Keymous+ dan DieNet dilaporkan bertanggung jawab atas hampir 70 persen seluruh aktivitas serangan yang tercatat antara 28 Februari hingga 2 Maret.

Serangan pertama dalam gelombang tersebut terjadi pada 28 Februari 2026 ketika kelompok Hider Nex, yang juga dikenal sebagai Tunisian Maskers Cyber Force, meluncurkan serangan distributed denial-of-service (DDoS). Menurut analisis dari Orange Cyberdefense, Hider Nex merupakan kelompok hacktivist asal Tunisia yang muncul pada pertengahan 2025 dan dikenal mendukung agenda pro-Palestina. Kelompok ini memanfaatkan strategi hack-and-leak, yakni menggabungkan serangan DDoS dengan pembobolan sistem untuk kemudian membocorkan data sensitif sebagai bagian dari kampanye geopolitik mereka.

Dalam periode empat hari tersebut, peneliti mencatat total 149 klaim serangan DDoS hacktivist yang menargetkan 110 organisasi berbeda di 16 negara. Aktivitas ini dilakukan oleh setidaknya 12 kelompok berbeda. Tiga kelompok utama  Keymous+, DieNet, dan NoName057(16)  secara kolektif menyumbang sekitar 74,6 persen dari seluruh aktivitas serangan yang teridentifikasi.

Distribusi serangan menunjukkan konsentrasi yang sangat tinggi di kawasan Timur Tengah. Dari seluruh klaim serangan yang tercatat, sebanyak 107 insiden terjadi di wilayah tersebut. Sebagian besar target adalah infrastruktur publik dan lembaga negara, menunjukkan bahwa konflik militer yang terjadi turut memicu respons digital dari berbagai kelompok hacktivist.

Secara geografis, tiga negara menjadi pusat utama serangan dalam periode tersebut. Kuwait mencatat sekitar 28 persen dari total klaim serangan, diikuti Israel dengan 27,1 persen dan Yordania dengan 21,5 persen. Sementara itu, wilayah Eropa mencatat sekitar 22,8 persen dari total aktivitas serangan global selama periode yang sama.

Jika dilihat dari sektor yang disasar, hampir setengah dari organisasi yang menjadi target berasal dari sektor pemerintahan. Sekitar 47,8 persen target secara global merupakan institusi pemerintah, diikuti sektor keuangan sebesar 11,9 persen dan sektor telekomunikasi sekitar 6,7 persen. Pola ini mencerminkan karakteristik serangan hacktivist yang sering kali berfokus pada simbol kekuasaan negara atau infrastruktur strategis yang memiliki dampak politik.

Radware menilai bahwa konflik yang berkembang di wilayah tersebut kini memperluas front digital bersamaan dengan eskalasi militer di lapangan. Aktivitas hacktivist tidak lagi terbatas pada satu negara atau satu target tertentu, melainkan berkembang menjadi kampanye yang melibatkan banyak kelompok dan menjangkau sejumlah negara secara simultan.

Selain kelompok yang paling dominan, beberapa kelompok lain juga tercatat terlibat dalam operasi siber yang bersifat disruptif. Data yang dihimpun oleh perusahaan intelijen ancaman seperti Flashpoint, Palo Alto Networks melalui tim Unit 42, serta Radware menunjukkan keterlibatan berbagai kelompok termasuk Nation of Saviors, Conquerors Electronic Army, Sylhet Gang, 313 Team, Handala Hack, Cyber Islamic Resistance, Dark Storm Team, FAD Team, Evil Markhors, dan PalachPro.

Sejumlah kelompok yang memiliki afiliasi atau simpati terhadap Rusia juga mengklaim telah melakukan intrusi terhadap jaringan militer Israel. Dua kelompok yang dikenal sebagai Cardinal dan Russian Legion menyatakan telah berhasil menembus jaringan militer Israel, termasuk sistem pertahanan rudal Iron Dome. Namun klaim tersebut belum diverifikasi secara independen oleh pihak lain.

Selain serangan DDoS dan defacement situs web, para peneliti keamanan juga mengamati munculnya kampanye phishing yang menargetkan pengguna ponsel di Israel. Peneliti dari CloudSEK melaporkan adanya aplikasi tiruan dari sistem peringatan darurat Israel, RedAlert, yang digunakan untuk mendistribusikan malware pengawasan.

Dalam kampanye tersebut, korban dimanipulasi untuk mengunduh file APK berbahaya dengan dalih pembaruan darurat selama masa konflik. Aplikasi tersebut menampilkan antarmuka sistem peringatan yang tampak sah, tetapi sebenarnya menyembunyikan mekanisme pengawasan yang mampu mengumpulkan data pengguna dan memonitor aktivitas perangkat secara diam-diam.

Di sisi lain, laporan dari Flashpoint juga menyebut bahwa Iran melalui Korps Garda Revolusi Islam (IRGC) melakukan serangan siber terhadap sektor energi dan infrastruktur digital di Timur Tengah. Target yang disebutkan dalam laporan tersebut termasuk fasilitas milik Saudi Aramco serta sebuah pusat data milik Amazon Web Services di Uni Emirat Arab. Serangan tersebut disebut bertujuan memberikan tekanan ekonomi global sebagai respons terhadap kerugian militer yang dialami Iran.

Perkembangan lain juga datang dari aktor yang dikenal sebagai Cotton Sandstorm, yang sebelumnya menggunakan identitas Haywire Kitten. Kelompok ini dilaporkan menghidupkan kembali persona lamanya yang dikenal sebagai Altoufan Team dan mengklaim telah meretas sejumlah situs web di Bahrain. Peneliti dari Check Point Software Technologies menilai langkah ini menunjukkan sifat kampanye siber yang sangat reaktif terhadap dinamika konflik di kawasan tersebut.

Analisis tambahan dari Nozomi Networks menunjukkan bahwa kelompok peretas yang diduga disponsori negara Iran, yang dikenal sebagai UNC1549 atau juga disebut GalaxyGato, Nimbus Manticore, dan Subtle Snail, merupakan salah satu aktor paling aktif pada paruh kedua tahun 2025. Kelompok ini diketahui menargetkan sektor pertahanan, industri kedirgantaraan, telekomunikasi, serta lembaga pemerintahan regional untuk mendukung kepentingan geopolitik Iran.

Ketegangan geopolitik tersebut juga berdampak pada ekosistem kripto di Iran. Sejumlah bursa kripto besar di negara tersebut tetap beroperasi tetapi mengumumkan penyesuaian operasional, termasuk penangguhan sementara atau penjadwalan ulang penarikan dana serta peringatan risiko bagi pengguna terkait kemungkinan gangguan konektivitas.

Menurut Ari Redbord dari TRM Labs, kondisi tersebut bukan menunjukkan pelarian modal secara besar-besaran, melainkan pasar yang sedang mengelola volatilitas di tengah gangguan konektivitas dan intervensi regulasi.

Perusahaan keamanan Sophos menyatakan bahwa meskipun terjadi lonjakan aktivitas hacktivist, mereka belum melihat peningkatan signifikan dalam tingkat risiko yang lebih luas. Sebagian besar aktivitas yang diamati berasal dari kelompok yang mendukung Iran, seperti Handala Hack dan APT Iran, dengan bentuk serangan berupa DDoS, defacement situs, serta klaim kompromi yang belum diverifikasi terhadap infrastruktur Israel.

Pemerintah Inggris melalui National Cyber Security Centre juga telah memperingatkan organisasi di berbagai sektor untuk meningkatkan kesiapan keamanan siber mereka. Lembaga tersebut menyoroti potensi serangan DDoS, aktivitas phishing, serta kemungkinan penargetan terhadap sistem kontrol industri (ICS).

Sentimen serupa disampaikan oleh para analis di SentinelOne yang menilai bahwa organisasi di Israel, Amerika Serikat, dan negara-negara sekutunya kemungkinan besar akan menghadapi penargetan langsung maupun tidak langsung. Sektor yang dianggap paling berisiko termasuk pemerintahan, infrastruktur kritis, sektor pertahanan, layanan keuangan, institusi akademik, serta media.

Para peneliti menilai bahwa aktor ancaman yang terkait dengan Iran telah lama menunjukkan kecenderungan untuk menggabungkan berbagai jenis operasi siber, mulai dari spionase digital, sabotase infrastruktur, hingga operasi psikologis yang bertujuan memengaruhi persepsi publik. Dalam situasi konflik yang tidak stabil, intensitas operasi semacam ini sering meningkat dan dapat meluas ke target di luar wilayah konflik utama.

Dalam konteks tersebut, organisasi di berbagai sektor disarankan untuk memperkuat pemantauan keamanan secara berkelanjutan, memperbarui intelijen ancaman, serta mengurangi permukaan serangan eksternal. Evaluasi terhadap eksposur aset digital, segmentasi jaringan antara sistem teknologi informasi dan teknologi operasional, serta isolasi perangkat IoT juga dinilai penting untuk mengurangi risiko kompromi.

Perkembangan terbaru ini menunjukkan bahwa konflik geopolitik modern tidak lagi terbatas pada medan perang fisik. Aktivitas hacktivist, operasi siber negara, serta kampanye disrupsi digital kini menjadi bagian integral dari dinamika konflik yang lebih luas, dengan dampak yang dapat menjangkau organisasi dan infrastruktur di berbagai negara.

CISA Masukkan CVE-2026-22719 ke Daftar KEV, Celah Command Injection di VMware Aria Operations Dieksploitasi Aktif

Badan Keamanan Siber dan Infrastruktur Amerika Serikat, Cybersecurity and Infrastructure Security Agency (CISA), pada Selasa mengumumkan penambahan satu kerentanan keamanan terbaru ke dalam katalog Known Exploited Vulnerabilities (KEV). Kerentanan tersebut, CVE-2026-22719, berdampak pada produk Broadcom VMware Aria Operations dan disebut telah mengalami eksploitasi aktif di lapangan. Keputusan ini menandai eskalasi risiko dari sekadar kelemahan teknis menjadi ancaman operasional yang terverifikasi.

CVE-2026-22719 memiliki skor CVSS 8.1 dan diklasifikasikan sebagai kerentanan tingkat tinggi. Secara teknis, celah ini merupakan kasus command injection yang memungkinkan penyerang tidak terautentikasi untuk mengeksekusi perintah arbitrer pada sistem terdampak. Dalam skenario terburuk, eksploitasi dapat berujung pada remote code execution ketika proses migrasi produk dengan bantuan dukungan (support-assisted product migration) sedang berlangsung.

Broadcom, sebagai pemilik VMware, menjelaskan dalam advisori resmi yang dirilis akhir bulan lalu bahwa aktor jahat tanpa kredensial dapat memanfaatkan kelemahan ini untuk menjalankan perintah sistem. Jika kondisi tertentu terpenuhi, termasuk saat migrasi produk berlangsung, eksekusi perintah tersebut dapat meningkat menjadi eksekusi kode jarak jauh di lingkungan VMware Aria Operations. Konteks ini penting karena banyak organisasi mengandalkan Aria Operations untuk pemantauan, manajemen performa, dan visibilitas infrastruktur virtual mereka.

Selain CVE-2026-22719, pembaruan keamanan yang sama juga mengatasi dua kerentanan lain. CVE-2026-22720 diidentifikasi sebagai stored cross-site scripting (XSS), yang berpotensi memungkinkan injeksi skrip berbahaya yang tersimpan dan dieksekusi pada sisi klien. Sementara itu, CVE-2026-22721 merupakan celah privilege escalation yang dapat membuka jalan bagi peningkatan hak akses hingga tingkat administratif. Kombinasi tiga kerentanan ini mencerminkan spektrum risiko yang luas, mulai dari injeksi perintah hingga eskalasi hak istimewa.

Produk yang terdampak mencakup VMware Cloud Foundation dan VMware vSphere Foundation versi 9.x.x.x, yang telah diperbaiki pada rilis 9.0.2.0. VMware Aria Operations versi 8.x juga terdampak dan telah mendapatkan perbaikan pada versi 8.18.6. Organisasi yang menjalankan stack virtualisasi berbasis VMware dalam skala enterprise perlu memastikan versi yang digunakan telah diperbarui sesuai dengan rekomendasi vendor.

Bagi pelanggan yang belum dapat menerapkan patch secara langsung, Broadcom menyediakan langkah mitigasi sementara. Pengguna dapat mengunduh dan menjalankan skrip shell bernama “aria-ops-rce-workaround.sh” sebagai root pada setiap node Aria Operations Virtual Appliance. Pendekatan ini dimaksudkan sebagai kontrol sementara untuk menurunkan risiko eksploitasi hingga pembaruan resmi dapat diterapkan. Namun, seperti praktik umum dalam manajemen kerentanan, mitigasi tidak menggantikan kebutuhan patch permanen.

Hingga saat ini, tidak ada rincian teknis yang dipublikasikan mengenai bagaimana eksploitasi dilakukan di lapangan, siapa aktor di baliknya, maupun skala kampanye serangan tersebut. Ketiadaan detail ini bukan hal yang tidak lazim, terutama ketika eksploitasi masih aktif dan berpotensi meluas. Pengungkapan teknis yang terlalu dini dapat meningkatkan risiko copycat attack atau eksploitasi massal sebelum organisasi sempat memperbarui sistem mereka.

Dalam pembaruan buletinnya, Broadcom menyatakan pihaknya mengetahui adanya laporan potensi eksploitasi CVE-2026-22719 di alam liar, tetapi belum dapat mengonfirmasi secara independen validitas laporan tersebut. Pernyataan ini menegaskan bahwa meskipun ada indikasi aktivitas eksploitasi, verifikasi teknis penuh masih berlangsung. Di sisi lain, langkah CISA memasukkan kerentanan ini ke katalog KEV menunjukkan bahwa otoritas federal menilai risiko yang ada cukup signifikan untuk memicu respons kebijakan.

Katalog Known Exploited Vulnerabilities milik CISA berfungsi sebagai daftar prioritas kerentanan yang telah terbukti dieksploitasi secara aktif. Ketika sebuah CVE masuk ke dalam daftar ini, implikasinya langsung terasa bagi lembaga federal Amerika Serikat. Dalam kasus CVE-2026-22719, lembaga di bawah Federal Civilian Executive Branch (FCEB) diwajibkan menerapkan perbaikan paling lambat 24 Maret 2026. Tenggat waktu ini mencerminkan urgensi mitigasi terhadap potensi ancaman terhadap infrastruktur pemerintah.

Bagi organisasi di luar sektor federal, masuknya sebuah kerentanan ke dalam katalog KEV sering kali menjadi indikator bahwa eksploitasi tidak lagi bersifat teoretis. Bagi tim keamanan, ini berarti penyesuaian prioritas patch management, evaluasi exposure surface, serta peninjauan kontrol deteksi seperti intrusion detection system dan monitoring log pada node Aria Operations. Mengingat sifat command injection yang memungkinkan eksekusi perintah sistem, dampaknya dapat meluas dari kompromi aplikasi hingga pengambilalihan infrastruktur virtual yang lebih luas.

VMware Aria Operations sendiri berperan penting dalam orkestrasi dan observabilitas lingkungan virtual dan cloud hybrid. Kerentanan pada komponen ini berpotensi berdampak pada visibilitas dan stabilitas sistem, terutama jika dieksploitasi selama proses migrasi atau perubahan konfigurasi. Dalam arsitektur enterprise, komponen manajemen sering kali memiliki hak akses tinggi, sehingga risiko privilege escalation dan lateral movement menjadi perhatian tersendiri.

Tanpa detail eksploitasi yang dipublikasikan, sulit menilai vektor serangan yang digunakan atau kompleksitasnya. Namun, fakta bahwa celah ini dapat dieksploitasi oleh aktor tanpa autentikasi memperluas potensi ancaman, terutama jika sistem terpapar ke jaringan yang tidak sepenuhnya tersegmentasi. Dalam praktik keamanan, prinsip least privilege dan isolasi jaringan tetap menjadi kontrol krusial untuk meminimalkan dampak jika terjadi kompromi.

Dengan tenggat waktu resmi dari CISA dan ketersediaan patch dari vendor, fokus kini beralih pada kecepatan respons organisasi. Pengalaman sebelumnya menunjukkan bahwa rentang waktu antara pengungkapan dan eksploitasi massal dapat sangat singkat, khususnya ketika detail teknis mulai tersebar di komunitas keamanan. Oleh karena itu, pembaruan sistem dan verifikasi konfigurasi menjadi langkah defensif yang paling rasional.

Penambahan CVE-2026-22719 ke katalog KEV menegaskan bahwa kerentanan pada komponen manajemen infrastruktur tidak boleh dipandang sebagai isu sekunder. Dalam banyak kasus, kontrol manajemen justru menjadi target bernilai tinggi karena menyediakan jalur akses terpusat ke sumber daya kritis. Bagi praktisi IT dan keamanan, perkembangan ini menjadi pengingat bahwa visibilitas dan manajemen kerentanan harus berjalan beriringan, terutama pada platform virtualisasi dan cloud yang menjadi tulang punggung operasional organisasi modern.

CVE-2026-21513: Zero-Day MSHTML Diduga Dieksploitasi APT28 untuk Bypass Fitur Keamanan Windows

Kerentanan keamanan yang baru-baru ini ditambal oleh Microsoft dilaporkan telah dieksploitasi sebagai zero-day dan diduga berkaitan dengan aktivitas kelompok ancaman siber yang berafiliasi dengan Rusia, APT28. Temuan ini diungkap oleh perusahaan keamanan dan infrastruktur web Akamai Technologies, yang menganalisis artefak berbahaya terkait eksploitasi tersebut.

Kerentanan yang dimaksud adalah CVE-2026-21513 dengan skor CVSS 8.8, dikategorikan sebagai celah tingkat tinggi yang memungkinkan bypass terhadap fitur keamanan pada MSHTML Framework. MSHTML merupakan mesin rendering yang digunakan oleh komponen Windows dan Internet Explorer untuk memproses konten HTML. Dalam advisori resminya, Microsoft menyebut celah ini sebagai kegagalan mekanisme perlindungan yang memungkinkan penyerang tidak sah melewati fitur keamanan melalui jaringan.

CVE-2026-21513 diperbaiki sebagai bagian dari pembaruan Patch Tuesday Februari 2026. Namun, perusahaan tersebut juga mengonfirmasi bahwa kerentanan ini telah dieksploitasi dalam serangan nyata sebelum patch tersedia, menjadikannya zero-day pada saat digunakan oleh pelaku ancaman. Microsoft mengkreditkan pelaporan kerentanan ini kepada Microsoft Threat Intelligence Center, Microsoft Security Response Center, Office Product Group Security Team, serta Google Threat Intelligence Group.

Dalam skenario serangan yang dijelaskan, penyerang dapat memanfaatkan kerentanan ini dengan membujuk korban untuk membuka file HTML berbahaya atau file shortcut Windows berformat LNK yang dikirim melalui tautan atau lampiran email. Ketika file yang telah dirancang tersebut dibuka, mekanisme penanganan browser dan Windows Shell dimanipulasi sedemikian rupa sehingga konten dieksekusi langsung oleh sistem operasi. Proses ini memungkinkan penyerang melewati kontrol keamanan tertentu dan berpotensi mencapai eksekusi kode pada sistem korban.

Meskipun Microsoft tidak merilis detail teknis lengkap mengenai eksploitasi zero-day tersebut, Akamai mengungkap bahwa mereka mengidentifikasi artefak berbahaya yang diunggah ke VirusTotal pada 30 Januari 2026. Artefak itu dikaitkan dengan infrastruktur yang berhubungan dengan APT28. Kelompok ini dikenal luas dalam komunitas intelijen ancaman sebagai aktor yang melakukan operasi spionase siber yang ditargetkan.

Sampel berbahaya tersebut sebelumnya telah ditandai oleh CERT-UA pada awal bulan lalu dalam konteks serangan APT28 yang mengeksploitasi kerentanan berbeda di Microsoft Office, yakni CVE-2026-21509 dengan skor CVSS 7.8. Korelasi ini memperkuat dugaan bahwa eksploitasi CVE-2026-21513 merupakan bagian dari rangkaian kampanye yang lebih luas.

Analisis teknis Akamai menunjukkan bahwa akar masalah CVE-2026-21513 terletak pada logika di dalam file “ieframe.dll” yang menangani navigasi hyperlink. Kerentanan muncul akibat kurangnya validasi terhadap URL target, sehingga input yang dikendalikan penyerang dapat mencapai jalur kode yang memanggil fungsi ShellExecuteExW. Fungsi ini bertanggung jawab untuk menjalankan sumber daya lokal atau jarak jauh melalui Windows Shell. Akibatnya, sumber daya dapat dieksekusi di luar konteks keamanan browser yang seharusnya membatasi tindakan tersebut.

Peneliti keamanan Maor Dahan menjelaskan bahwa muatan serangan melibatkan file Windows Shortcut (LNK) yang dirancang secara khusus. File tersebut menyematkan file HTML tepat setelah struktur standar LNK. Ketika dijalankan, file shortcut tersebut memulai komunikasi dengan domain wellnesscaremed[.]com, yang menurut atribusi Akamai terkait dengan APT28 dan digunakan secara luas dalam kampanye multi-tahap mereka. Teknik ini memanfaatkan nested iframe dan berbagai konteks DOM untuk memanipulasi batas kepercayaan antara komponen yang berbeda.

Eksploitasi tersebut memungkinkan penyerang melewati Mark-of-the-Web, mekanisme yang biasanya menandai file yang berasal dari internet untuk membatasi eksekusinya. Selain itu, teknik ini juga dapat menghindari Internet Explorer Enhanced Security Configuration, yang dirancang untuk memperketat kebijakan keamanan pada sistem tertentu. Dengan melewati kedua mekanisme ini, konteks keamanan dapat diturunkan sehingga kode berbahaya dieksekusi di luar sandbox browser melalui ShellExecuteExW.

Implikasinya signifikan. Dengan mengalihkan eksekusi ke luar konteks browser, penyerang berpotensi menjalankan kode dengan hak akses yang lebih luas dibandingkan jika tetap berada dalam sandbox. Bagi organisasi dan praktisi keamanan, ini menunjukkan bahwa batas antara komponen web dan sistem operasi dapat menjadi titik lemah ketika validasi input tidak diterapkan secara ketat pada level framework.

Akamai menekankan bahwa meskipun kampanye yang diamati menggunakan file LNK berbahaya sebagai vektor pengiriman, jalur kode rentan dapat dipicu melalui komponen apa pun yang menyematkan MSHTML. Artinya, mekanisme distribusi lain di luar phishing berbasis LNK sangat mungkin terjadi. Komponen aplikasi yang memanfaatkan MSHTML untuk merender konten HTML berpotensi menjadi permukaan serangan alternatif apabila tidak diperbarui.

Kasus CVE-2026-21513 memperlihatkan bagaimana kerentanan pada komponen fundamental Windows dapat dimanfaatkan untuk mengikis lapisan perlindungan yang dirancang untuk memisahkan konten tidak tepercaya dari sistem inti. Bagi komunitas keamanan siber, insiden ini menggarisbawahi pentingnya pembaruan rutin, validasi input yang ketat pada level framework, serta pemantauan aktivitas yang melibatkan file shortcut dan eksekusi Shell.

Bagi pengguna dan organisasi, penerapan patch Februari 2026 menjadi langkah mitigasi utama. Mengingat sifat zero-day dari eksploitasi ini, respons cepat terhadap pembaruan keamanan menjadi faktor krusial untuk mengurangi risiko. Dalam konteks ancaman yang melibatkan aktor negara seperti APT28, celah dengan tingkat keparahan tinggi seperti CVE-2026-21513 menunjukkan bahwa teknik bypass fitur keamanan tetap menjadi taktik efektif untuk mendapatkan pijakan awal dalam serangan yang lebih luas.

CVE-2026-0628: Celah Google Chrome pada Panel Gemini Live Bisa Buka Akses Kamera dan File Lokal

Para peneliti keamanan siber mengungkap detail kerentanan yang kini telah ditambal pada peramban Google Chrome. Celah tersebut, yang diberi kode CVE-2026-0628 dengan skor CVSS 8.8, berpotensi memungkinkan penyerang melakukan eskalasi hak akses dan memperoleh akses ke file lokal pada sistem korban. Masalah ini berakar pada lemahnya penerapan kebijakan keamanan pada komponen WebView tag di Chrome, sebuah isu yang memperlihatkan bagaimana integrasi fitur baru dalam browser modern dapat membuka permukaan serangan yang tidak terduga.

Kerentanan ini telah diperbaiki oleh Google pada awal Januari 2026 melalui pembaruan ke versi 143.0.7499.192/.193 untuk Windows dan macOS, serta 143.0.7499.192 untuk Linux. Sebelum versi tersebut dirilis, pengguna yang berhasil diyakinkan untuk memasang ekstensi berbahaya berisiko mengalami penyalahgunaan hak akses di dalam browser mereka. Berdasarkan deskripsi resmi di National Institute of Standards and Technology melalui National Vulnerability Database, celah ini memungkinkan penyerang menyuntikkan skrip atau HTML ke halaman dengan hak istimewa melalui ekstensi Chrome yang dirancang khusus.

Kerentanan tersebut pertama kali ditemukan dan dilaporkan pada 23 November 2025 oleh Gal Weizman, peneliti dari Palo Alto Networks Unit 42. Menurut Weizman, masalah ini dapat dimanfaatkan oleh ekstensi dengan izin dasar untuk mengambil alih panel baru bernama Gemini Live di Chrome. Panel ini terintegrasi langsung di dalam browser dan dapat diakses melalui ikon Gemini di bagian atas jendela. Google menambahkan integrasi Gemini ke Chrome pada September 2025 sebagai bagian dari strategi menghadirkan kapabilitas kecerdasan buatan langsung ke dalam pengalaman browsing.

Secara teknis, kelemahan tersebut memungkinkan ekstensi berbahaya menyuntikkan kode JavaScript arbitrer ke dalam panel Gemini. Dalam skenario serangan, penyerang cukup membuat korban memasang ekstensi yang tampak sah. Setelah terpasang, ekstensi itu dapat memanfaatkan API declarativeNetRequest untuk memodifikasi permintaan dan respons HTTPS, lalu menyisipkan kode ke dalam konteks panel Gemini yang memiliki hak akses lebih tinggi dibandingkan halaman web biasa.

API declarativeNetRequest sendiri dirancang untuk memungkinkan ekstensi mencegat dan mengubah properti permintaan jaringan, dan umumnya digunakan oleh ekstensi pemblokir iklan. Namun dalam kasus CVE-2026-0628, kombinasi izin dasar dengan kelemahan penerapan kebijakan pada WebView membuka jalur tak terduga. Ketika aplikasi Gemini dimuat dalam panel samping tersebut, Chrome mengaitkannya dengan kemampuan yang kuat agar asisten AI dapat menjalankan fungsinya, termasuk interaksi dengan sistem file, akses kamera dan mikrofon, serta pengambilan tangkapan layar.

Di sinilah eskalasi hak akses menjadi nyata. Ekstensi yang seharusnya dibatasi oleh model izin yang ketat dapat mengeksekusi kode di domain “gemini.google[.]com/app” melalui panel internal browser. Dengan demikian, penyerang berpotensi memperoleh akses ke data sensitif, menyalakan kamera atau mikrofon tanpa izin eksplisit pengguna, hingga mengambil tangkapan layar dari situs apa pun yang sedang dibuka. Bagi praktisi keamanan, ini merupakan pelanggaran serius terhadap model keamanan berbasis sandbox dan permission isolation yang selama ini menjadi fondasi arsitektur browser modern.

Temuan ini juga menyoroti vektor serangan baru yang muncul seiring integrasi kemampuan AI dan agentic features langsung ke dalam browser. Fitur seperti peringkasan konten secara real-time, penerjemahan otomatis, dan eksekusi tugas multi-langkah mengharuskan agen AI memiliki akses istimewa ke lingkungan browsing. Tanpa kontrol kebijakan yang ketat, akses tersebut menjadi pedang bermata dua. Halaman web berbahaya dapat menyematkan prompt tersembunyi yang menginstruksikan asisten AI untuk melakukan tindakan yang seharusnya diblokir oleh mekanisme keamanan browser.

Dalam skenario yang lebih kompleks, prompt tersebut bahkan dapat memanipulasi agen agar menyimpan instruksi di memori, sehingga bertahan lintas sesi. Konsep ini memperluas permukaan serangan dari sekadar eksploitasi berbasis skrip menjadi manipulasi logika agen AI. Bagi komunitas keamanan, ini bukan sekadar isu teknis, tetapi juga tantangan desain arsitektur. Integrasi komponen berhak istimewa di dalam konteks browser berisiko menciptakan celah logika, kelemahan implementasi, serta membuka kembali risiko klasik seperti cross-site scripting, privilege escalation, dan serangan side-channel.

Weizman menekankan bahwa perbedaan antara perilaku yang dirancang dan cacat keamanan terletak pada konteks komponen yang dimanipulasi. Ekstensi yang memengaruhi halaman web adalah perilaku yang telah diantisipasi dalam model keamanan Chrome. Namun ketika ekstensi memengaruhi komponen internal yang “dipanggang” langsung ke dalam browser dengan hak istimewa tinggi, risikonya meningkat secara signifikan. Perbedaan konteks tersebut menjadi garis tipis antara desain yang sah dan kerentanan kritis.

Kasus CVE-2026-0628 memperlihatkan bahwa model keamanan berbasis izin pada ekstensi dapat tergerus apabila komponen internal browser tidak menerapkan pembatasan kebijakan secara ketat. Bagi pengembang browser, integrasi AI tidak hanya menuntut inovasi fitur, tetapi juga audit keamanan yang mendalam pada setiap jalur interaksi antara ekstensi, halaman web, dan komponen privileged. Bagi pengguna, pembaruan ke versi terbaru menjadi langkah mitigasi utama, mengingat eksploitasi hanya memerlukan rekayasa sosial sederhana untuk mendorong instalasi ekstensi berbahaya.

Dengan semakin dalamnya integrasi kecerdasan buatan ke dalam infrastruktur perangkat lunak inti seperti browser, batas antara fitur produktivitas dan risiko keamanan menjadi semakin tipis. Kerentanan yang telah ditambal ini menjadi pengingat bahwa setiap perluasan kemampuan harus diimbangi dengan penguatan kontrol kebijakan, isolasi konteks, dan validasi input yang ketat. Bagi komunitas teknologi dan keamanan siber, CVE-2026-0628 bukan hanya soal satu bug, melainkan gambaran awal tantangan keamanan pada era browser berbasis AI yang semakin kompleks.

Baca Juga: Ribuan Google Cloud API Key Bocor Bisa Digunakan untuk Akses Gemini AI dan Menimbulkan Tagihan Besar 

Mengapa Cyber Insurance Kini Bergantung pada Identity Security dan MFA, Bukan Sekadar Firewall

Perusahaan asuransi siber dan regulator kini semakin berfokus pada keamanan identitas digital sebagai indikator utama dalam menilai risiko keamanan organisasi. Perubahan ini terjadi seiring meningkatnya jumlah serangan siber yang memanfaatkan akun karyawan yang telah dikompromikan. Data terbaru menunjukkan bahwa satu dari tiga serangan siber kini melibatkan kredensial pengguna yang berhasil dicuri atau disalahgunakan, menjadikan identity security sebagai salah satu faktor paling kritis dalam evaluasi risiko dan penentuan premi cyber insurance.

Perubahan ini mencerminkan realitas operasional di mana akun pengguna, bukan kerentanan perangkat lunak, sering menjadi titik masuk utama bagi penyerang. Setelah mendapatkan akses ke satu akun, penyerang dapat bergerak secara lateral, meningkatkan hak akses, dan mempertahankan keberadaan mereka dalam jaringan tanpa terdeteksi. Bagi perusahaan asuransi, kemampuan organisasi untuk mencegah atau membatasi dampak kompromi akun menjadi indikator langsung dari potensi kerugian finansial yang mungkin timbul akibat insiden keamanan.

Pentingnya keamanan identitas dalam penilaian cyber insurance juga dipicu oleh meningkatnya biaya pelanggaran data secara global. Pada tahun 2025, rata-rata biaya pelanggaran data mencapai $4,4 juta, mendorong lebih banyak organisasi untuk mencari perlindungan finansial melalui cyber insurance. Di Inggris, tingkat adopsi cyber insurance meningkat dari 37 persen pada tahun 2023 menjadi 45 persen pada tahun 2025. Namun, peningkatan klaim yang diajukan juga memaksa perusahaan asuransi untuk memperketat standar underwriting mereka, dengan fokus khusus pada kontrol keamanan identitas.

Dalam konteks ini, identity posture atau postur keamanan identitas organisasi menjadi parameter utama. Identity posture mencakup berbagai aspek, termasuk praktik pengelolaan password, implementasi multi-factor authentication (MFA), serta pengelolaan akun dengan hak akses tinggi atau privileged accounts. Faktor-faktor ini membantu menentukan seberapa mudah penyerang dapat meningkatkan hak akses setelah mendapatkan kredensial awal.

Salah satu aspek penting yang mendapat perhatian khusus adalah password hygiene. Meskipun banyak organisasi mulai mengadopsi MFA dan metode autentikasi tanpa password, password tetap menjadi komponen inti dalam sistem autentikasi modern. Praktik seperti penggunaan ulang password di berbagai akun meningkatkan risiko secara signifikan. Jika satu password berhasil dicuri, penyerang dapat mencoba menggunakannya di berbagai sistem lain untuk memperluas akses mereka.

Masalah lain yang sering ditemukan adalah keberadaan akun lama yang tidak lagi digunakan tetapi masih aktif. Akun dormant ini sering luput dari pengawasan, namun tetap memiliki kredensial valid dan hak akses tertentu. Bagi penyerang, akun semacam ini merupakan titik masuk ideal karena kecil kemungkinan aktivitasnya terdeteksi. Demikian pula, service account dengan password yang tidak pernah kedaluwarsa menciptakan jalur akses jangka panjang yang sulit dilacak.

Selain itu, penggunaan kredensial administratif yang dibagikan di antara beberapa pengguna juga meningkatkan risiko. Praktik ini mengurangi akuntabilitas dan membuat investigasi insiden menjadi lebih sulit. Dari perspektif asuransi, organisasi yang tidak dapat menunjukkan kontrol ketat terhadap kredensial administratif dianggap memiliki risiko lebih tinggi.

Pengelolaan privileged access juga menjadi indikator penting dalam penilaian risiko. Akun dengan hak administratif memiliki kemampuan untuk mengakses sistem kritis, mengubah konfigurasi, dan membaca data sensitif. Jika akun semacam ini dikompromikan, dampaknya dapat meluas dengan cepat ke seluruh infrastruktur organisasi. Oleh karena itu, perusahaan asuransi mengevaluasi bagaimana organisasi mengontrol dan memantau akun privileged, termasuk administrator domain, administrator cloud, dan service account dengan hak akses tinggi.

Masalah umum yang sering ditemukan adalah pemberian hak akses administratif permanen yang tidak diperlukan. Hak akses yang berlebihan memperbesar kemungkinan privilege escalation, di mana penyerang dapat memperoleh kontrol penuh atas sistem hanya dengan mengompromikan satu akun. Dari perspektif underwriting, risiko meningkat secara signifikan jika satu akun yang dikompromikan dapat dengan cepat memperoleh hak administrator tanpa hambatan tambahan.

Implementasi multi-factor authentication juga menjadi faktor penentu dalam evaluasi cyber insurance. MFA menambahkan lapisan keamanan tambahan dengan mengharuskan pengguna memberikan bukti autentikasi tambahan selain password. Namun, efektivitas MFA bergantung pada konsistensi implementasinya. Banyak organisasi mengklaim telah mengimplementasikan MFA, tetapi tidak menerapkannya secara menyeluruh pada semua sistem kritis.

Kasus nyata yang mencerminkan pentingnya MFA terjadi pada City of Hamilton, yang dilaporkan tidak menerima klaim cyber insurance sebesar $18 juta setelah serangan ransomware karena MFA tidak diterapkan secara penuh pada sistem yang terdampak. Insiden ini menunjukkan bahwa keberadaan MFA saja tidak cukup; implementasi harus mencakup semua sistem penting, termasuk akses jarak jauh, email, dan akun administratif.

Meskipun MFA bukan solusi sempurna, mekanisme ini secara signifikan meningkatkan tingkat kesulitan bagi penyerang. Serangan seperti MFA fatigue tetap memerlukan kredensial valid sebagai langkah awal, dan keberhasilan serangan tersebut bergantung pada kesalahan pengguna dalam menyetujui permintaan autentikasi yang mencurigakan. Tanpa kredensial awal, serangan semacam ini tidak dapat dilakukan.

Perusahaan asuransi kini secara khusus mencari bukti bahwa MFA diterapkan pada semua akun dengan hak akses tinggi dan sistem kritis. Organisasi yang gagal memenuhi standar ini sering menghadapi premi yang lebih tinggi atau pembatasan cakupan asuransi. Hal ini mencerminkan pergeseran dalam pendekatan manajemen risiko, di mana kontrol identitas dianggap sebagai garis pertahanan utama.

Selain MFA dan password hygiene, perusahaan asuransi juga menilai praktik audit akses secara berkala. Audit ini membantu memastikan bahwa hak akses pengguna sesuai dengan peran mereka saat ini. Akses yang tidak lagi relevan, seperti hak administratif yang diberikan kepada karyawan yang telah berpindah peran, meningkatkan risiko keamanan.

Perubahan dalam pendekatan underwriting ini menunjukkan bahwa keamanan identitas bukan lagi sekadar masalah teknis, tetapi juga faktor finansial. Kemampuan organisasi untuk menunjukkan kontrol identitas yang kuat dapat secara langsung mempengaruhi premi cyber insurance yang mereka bayar. Organisasi dengan kontrol identitas yang matang cenderung dianggap memiliki risiko lebih rendah, yang dapat menghasilkan premi yang lebih rendah dan cakupan yang lebih luas.

Bagi organisasi, implikasinya jelas. Keamanan identitas kini menjadi komponen inti dalam strategi manajemen risiko. Pengelolaan kredensial, implementasi MFA yang komprehensif, dan kontrol ketat terhadap akun privileged tidak hanya melindungi sistem dari serangan, tetapi juga mempengaruhi bagaimana risiko organisasi dinilai oleh pihak eksternal.

Perubahan ini juga mencerminkan evolusi lanskap ancaman siber. Penyerang semakin fokus pada eksploitasi identitas karena metode ini sering lebih efektif daripada mengeksploitasi kerentanan teknis. Dengan menggunakan kredensial yang valid, penyerang dapat menghindari banyak mekanisme deteksi tradisional.

Sebagai respons, perusahaan asuransi menyesuaikan model risiko mereka untuk mencerminkan realitas ini. Alih-alih hanya mengevaluasi kontrol keamanan jaringan tradisional, mereka kini memprioritaskan keamanan identitas sebagai indikator utama ketahanan organisasi terhadap serangan siber.

Bagi organisasi yang ingin mengurangi risiko dan mendapatkan perlindungan asuransi yang optimal, fokus pada keamanan identitas menjadi semakin penting. Praktik seperti rotasi password secara berkala, pembatasan hak akses administratif, dan implementasi MFA secara menyeluruh bukan lagi sekadar rekomendasi keamanan, tetapi telah menjadi persyaratan operasional yang mempengaruhi stabilitas finansial organisasi.

Perkembangan ini menandai pergeseran fundamental dalam cara risiko keamanan siber dinilai dan dikelola. Identity security kini berada di pusat strategi keamanan modern, bukan hanya sebagai mekanisme perlindungan teknis, tetapi sebagai faktor utama dalam menentukan bagaimana organisasi dilihat oleh perusahaan asuransi dan regulator.

Ribuan Google Cloud API Key Bocor Bisa Digunakan untuk Akses Gemini AI dan Menimbulkan Tagihan Besar

Penelitian terbaru mengungkap risiko serius dalam penggunaan Google Cloud API key yang sebelumnya dianggap aman untuk dibagikan secara publik. Kunci API ini, yang awalnya dirancang sebagai identifier proyek untuk keperluan billing dan integrasi layanan dasar, ternyata dapat digunakan untuk mengakses endpoint sensitif milik Gemini, platform kecerdasan buatan milik Google. Temuan ini menunjukkan bahwa perubahan dalam cara API berinteraksi dengan layanan AI dapat secara tidak langsung memperluas permukaan serangan dan membuka potensi penyalahgunaan yang signifikan.

Penemuan ini berasal dari penelitian yang dilakukan oleh Truffle Security, yang mengidentifikasi hampir 3.000 Google API key aktif yang tertanam dalam kode sisi klien, terutama pada JavaScript yang digunakan oleh situs web. Kunci API tersebut biasanya memiliki prefix “AIza” dan digunakan untuk layanan seperti Google Maps, analytics, atau integrasi layanan Google lainnya. Karena API key ini sering disematkan langsung dalam kode frontend, siapa pun dapat mengekstraknya dengan relatif mudah hanya dengan memeriksa sumber halaman web.

Masalah muncul ketika API Gemini diaktifkan dalam proyek Google Cloud yang sama. Aktivasi ini secara otomatis memberikan hak akses tambahan kepada semua API key yang terkait dengan proyek tersebut, termasuk kunci yang sebelumnya telah dipublikasikan secara terbuka. Dengan kata lain, API key yang awalnya hanya berfungsi sebagai identifier billing tiba-tiba memperoleh kemampuan autentikasi ke endpoint Gemini tanpa adanya peringatan atau konfigurasi ulang yang eksplisit.

Menurut peneliti keamanan Joe Leon dari Truffle Security, perubahan ini memiliki implikasi yang signifikan. Dengan API key yang valid, penyerang dapat mengakses file yang diunggah, membaca data cache, serta mengirim permintaan ke Gemini API menggunakan kredensial korban. Aktivitas ini tidak hanya membuka kemungkinan akses ke data sensitif, tetapi juga memungkinkan penyerang mengonsumsi kuota komputasi milik korban dan menghasilkan tagihan yang besar.

Endpoint tertentu seperti “/files” dan “/cachedContents” menjadi titik akses potensial bagi penyerang untuk membaca informasi yang tersimpan. Selain itu, karena Gemini merupakan model AI yang memproses permintaan berbasis komputasi intensif, penggunaan API secara tidak sah dapat dengan cepat mengakumulasi biaya yang signifikan. Dalam konteks organisasi yang menggunakan Gemini untuk aplikasi produksi, dampaknya dapat meluas ke gangguan operasional dan risiko finansial yang tidak terduga.

Truffle Security menemukan total 2.863 API key aktif yang dapat diakses secara publik di internet, termasuk satu yang terkait dengan situs milik Google sendiri. Angka ini menunjukkan bahwa masalah ini bukan sekadar kesalahan konfigurasi individu, melainkan fenomena luas yang berkaitan dengan praktik penggunaan API key dalam ekosistem cloud modern.

Temuan ini diperkuat oleh laporan terpisah dari perusahaan keamanan mobile Quokka, yang menemukan lebih dari 35.000 Google API key unik dalam analisis terhadap 250.000 aplikasi Android. Banyak aplikasi tersebut menyimpan API key langsung dalam kode aplikasi, membuatnya mudah diekstrak oleh pihak ketiga. Ketika API key ini memperoleh akses tambahan ke layanan AI seperti Gemini, risiko penyalahgunaan meningkat secara signifikan.

Masalah utama terletak pada konfigurasi default Google Cloud. Ketika pengguna membuat API key baru, pengaturan defaultnya adalah “Unrestricted,” yang berarti kunci tersebut dapat digunakan untuk mengakses semua API yang diaktifkan dalam proyek tersebut. Jika pengembang kemudian mengaktifkan Gemini API, kunci yang sama secara otomatis memperoleh akses ke layanan tersebut, meskipun kunci tersebut sebelumnya telah dibagikan secara publik untuk tujuan lain.

Situasi ini menciptakan kondisi di mana ribuan API key yang awalnya dianggap aman untuk dibagikan kini secara efektif menjadi kredensial Gemini yang valid. Karena API key ini sering tertanam dalam kode frontend atau repository publik, penyerang dapat mengumpulkannya secara massal menggunakan teknik scraping otomatis dan menggunakannya untuk berbagai tujuan, mulai dari konsumsi kuota hingga eksplorasi akses data.

Google telah mengakui temuan ini dan menyatakan telah bekerja sama dengan para peneliti untuk mengatasi masalah tersebut. Dalam pernyataan resminya, perusahaan menyebut telah menerapkan langkah proaktif untuk mendeteksi dan memblokir API key yang bocor dan mencoba mengakses Gemini API secara tidak sah. Langkah ini menunjukkan bahwa Google memperlakukan masalah ini sebagai risiko keamanan yang serius, meskipun pada awalnya perilaku tersebut dianggap sebagai konsekuensi desain yang dimaksudkan.

Hingga saat ini, belum ada konfirmasi resmi mengenai eksploitasi skala besar di dunia nyata. Namun, sebuah laporan pengguna yang dipublikasikan di forum Reddit menunjukkan dampak potensial yang nyata. Pengguna tersebut mengklaim bahwa API key Google Cloud miliknya dicuri dan digunakan untuk menghasilkan tagihan sebesar $82.314,44 hanya dalam dua hari, jauh di atas pengeluaran normalnya yang sekitar $180 per bulan. Kasus ini menggambarkan bagaimana penyalahgunaan API key dapat menghasilkan konsekuensi finansial yang drastis dalam waktu singkat.

Risiko yang muncul tidak terbatas pada biaya finansial. Akses ke endpoint AI seperti Gemini dapat membuka kemungkinan interaksi dengan sistem cloud lain yang terintegrasi dalam proyek yang sama. Bahkan jika data sensitif tidak langsung tersedia, kemampuan untuk mengakses layanan inference AI dan berinteraksi dengan resource cloud dapat memberikan penyerang pijakan awal untuk eksplorasi lebih lanjut.

Masalah ini juga mencerminkan perubahan paradigma dalam keamanan API. Secara historis, API key sering diperlakukan sebagai identifier publik yang relatif aman untuk dibagikan dalam konteks tertentu, selama tidak digunakan untuk autentikasi sensitif. Namun, integrasi AI telah mengubah peran API key dari identifier sederhana menjadi kredensial yang dapat memberikan akses ke sistem dengan kemampuan komputasi dan data yang luas.

Tim Erlin, seorang strategist keamanan dari Wallarm, menjelaskan bahwa risiko API bersifat dinamis dan dapat berubah seiring evolusi layanan. Perubahan dalam kemampuan API, bahkan tanpa adanya kerentanan teknis tradisional, dapat meningkatkan risiko secara signifikan. Oleh karena itu, pendekatan keamanan API harus mencakup pemantauan berkelanjutan terhadap bagaimana kredensial digunakan dan bagaimana hak akses mereka berubah dari waktu ke waktu.

Kasus ini juga menyoroti pentingnya praktik manajemen kredensial yang ketat dalam lingkungan cloud. API key yang telah dipublikasikan sebelumnya harus dianggap berpotensi terekspos, terutama jika proyek tersebut telah diperbarui untuk menggunakan layanan tambahan seperti Gemini. Rotasi API key secara berkala menjadi langkah penting untuk meminimalkan risiko penyalahgunaan.

Selain rotasi, organisasi juga perlu membatasi penggunaan API key hanya pada layanan tertentu dan domain tertentu. Pendekatan ini dapat mengurangi dampak jika kunci tersebut bocor. Dengan membatasi akses hanya pada endpoint tertentu, potensi penyalahgunaan dapat dikurangi secara signifikan.

Perkembangan ini juga menunjukkan bagaimana adopsi AI memperkenalkan kompleksitas baru dalam keamanan cloud. Integrasi AI dengan infrastruktur cloud tradisional menciptakan hubungan baru antara komponen sistem yang sebelumnya terisolasi. Kredensial yang awalnya tidak berbahaya dapat memperoleh kemampuan baru seiring evolusi platform, menciptakan risiko yang sulit diprediksi tanpa audit keamanan yang berkelanjutan.

Bagi pengembang dan organisasi yang menggunakan Google Cloud, temuan ini menjadi pengingat bahwa keamanan tidak hanya bergantung pada konfigurasi awal, tetapi juga pada bagaimana sistem berkembang dari waktu ke waktu. API key yang aman hari ini dapat menjadi risiko di masa depan jika konteks penggunaannya berubah.

Dengan semakin banyaknya layanan AI yang terintegrasi ke dalam platform cloud, praktik keamanan yang proaktif menjadi semakin penting. Audit kredensial, pembatasan akses, dan pemantauan penggunaan API harus menjadi bagian dari strategi keamanan cloud yang berkelanjutan. Temuan ini menunjukkan bahwa bahkan komponen yang tampak sederhana seperti API key dapat menjadi titik masuk kritis jika tidak dikelola dengan hati-hati.

OpenClaw Tambal Celah “ClawJacked” yang Memungkinkan Website Jahat Mengambil Alih Agen AI Lokal

 

Sebuah kerentanan keamanan dengan tingkat keparahan tinggi telah ditemukan dalam platform agen kecerdasan buatan OpenClaw, membuka kemungkinan bagi situs web berbahaya untuk mengambil alih kendali agen AI yang berjalan secara lokal di komputer pengembang. Kerentanan yang diberi nama ClawJacked ini diungkap oleh perusahaan keamanan siber Oasis Security dan telah diperbaiki melalui pembaruan yang dirilis pada 26 Februari 2026. Meski patch telah tersedia, temuan ini menyoroti risiko struktural yang melekat pada ekosistem agen AI modern yang memiliki akses luas ke sistem lokal dan layanan terintegrasi.

Menurut laporan teknis yang dipublikasikan minggu ini, kerentanan tersebut tidak bergantung pada plugin pihak ketiga, ekstensi, atau konfigurasi khusus. Masalah ini berada langsung di inti sistem gateway OpenClaw, yang berjalan sesuai dokumentasi resmi. Hal ini membuat vektor serangan menjadi lebih signifikan, karena bahkan instalasi standar tanpa modifikasi pun dapat menjadi target. Serangan memanfaatkan gateway OpenClaw yang berjalan secara lokal, yang menggunakan server WebSocket terikat pada localhost dan dilindungi oleh autentikasi berbasis kata sandi.

Skenario serangan dimulai ketika seorang pengembang, yang memiliki OpenClaw aktif di laptop mereka, mengunjungi situs web berbahaya. Situs tersebut memuat JavaScript yang secara diam-diam mencoba membuka koneksi WebSocket ke gateway OpenClaw lokal. Tidak seperti permintaan HTTP biasa, browser tidak memblokir koneksi WebSocket lintas origin ke localhost. Akibatnya, skrip yang berjalan di halaman web berbahaya dapat berkomunikasi langsung dengan layanan lokal tanpa terlihat oleh pengguna.

Kerentanan utama muncul karena gateway OpenClaw tidak memiliki mekanisme rate limiting yang memadai pada proses autentikasi. Hal ini memungkinkan skrip berbahaya melakukan brute force terhadap kata sandi gateway secara otomatis. Setelah autentikasi berhasil, skrip tersebut dapat mendaftarkan dirinya sebagai perangkat tepercaya. Gateway OpenClaw secara otomatis menyetujui perangkat baru yang terhubung melalui localhost tanpa memerlukan konfirmasi pengguna, menciptakan celah kepercayaan yang dapat dieksploitasi.

Setelah memperoleh akses administratif, penyerang dapat sepenuhnya mengendalikan agen AI. Akses ini mencakup kemampuan membaca log aplikasi, mengekstrak konfigurasi sistem, mengidentifikasi node yang terhubung, serta berinteraksi langsung dengan agen untuk menjalankan perintah tertentu. Karena agen AI sering memiliki akses ke berbagai sistem internal, dampak potensial dari kompromi ini jauh melampaui sekadar akses lokal.

Kerentanan ClawJacked diperbaiki dalam versi OpenClaw 2026.2.25, yang dirilis kurang dari 24 jam setelah pengungkapan yang bertanggung jawab. Pengguna dianjurkan segera memperbarui sistem mereka untuk menghindari eksploitasi. Selain itu, praktik audit berkala terhadap akses agen AI dan penerapan kontrol identitas non-manusia menjadi semakin penting dalam konteks ini.

Temuan ini muncul di tengah meningkatnya pengawasan keamanan terhadap OpenClaw dan ekosistem agen AI secara umum. Agen AI sering diberi akses ke berbagai layanan perusahaan, termasuk sistem komunikasi, alat pengembangan, dan infrastruktur cloud. Perusahaan keamanan seperti Bitsight dan NeuralTrust sebelumnya melaporkan bahwa instance OpenClaw yang terhubung langsung ke internet memperluas permukaan serangan secara signifikan. Integrasi dengan layanan tambahan dapat meningkatkan dampak kompromi, memungkinkan penyerang menggunakan agen sebagai titik pivot untuk menyerang sistem lain.

Selain ClawJacked, OpenClaw juga memperbaiki kerentanan lain yang memungkinkan manipulasi log internal. Kerentanan ini memungkinkan penyerang mengirimkan konten berbahaya melalui permintaan WebSocket ke instance OpenClaw yang terekspos publik. Karena agen AI membaca log-nya sendiri untuk tujuan troubleshooting dan pengambilan keputusan, teks berbahaya yang disuntikkan ke log dapat mempengaruhi perilaku agen.

Menurut analisis dari Eye Security, serangan semacam ini tidak selalu menghasilkan pengambilalihan instan. Namun, dampaknya tetap signifikan karena dapat memanipulasi proses reasoning agen, mempengaruhi rekomendasi, atau menyebabkan agen mengungkapkan informasi sensitif secara tidak sengaja. Kerentanan log poisoning ini telah diperbaiki dalam versi 2026.2.13 yang dirilis pada 14 Februari 2026.

Masalah keamanan tidak berhenti di sana. Dalam beberapa minggu terakhir, sejumlah kerentanan lain dengan tingkat keparahan sedang hingga tinggi juga ditemukan dalam OpenClaw, termasuk remote code execution, command injection, server-side request forgery, bypass autentikasi, dan path traversal. Kerentanan tersebut telah diperbaiki melalui beberapa pembaruan bertahap antara Januari dan Februari 2026.

Menurut Endor Labs, meningkatnya adopsi agen AI di lingkungan perusahaan memerlukan pendekatan keamanan baru yang mempertimbangkan karakteristik unik sistem berbasis AI. Tidak seperti aplikasi tradisional, agen AI memiliki kemampuan pengambilan keputusan dan akses lintas sistem yang membuat dampak kompromi menjadi lebih luas dan kompleks.

Selain kerentanan inti, ekosistem OpenClaw juga menghadapi ancaman melalui marketplace keterampilan bernama ClawHub, tempat pengguna dapat mengunduh dan menginstal modul tambahan untuk memperluas kemampuan agen. Penelitian terbaru dari Trend Micro menemukan bahwa skill berbahaya telah digunakan untuk menyebarkan varian baru malware Atomic Stealer yang menargetkan pengguna macOS. Skill tersebut tampak sah di permukaan, tetapi berisi instruksi tersembunyi yang mengunduh payload berbahaya dari server eksternal.

Peneliti juga menemukan kampanye distribusi malware lain yang memanfaatkan rekayasa sosial. Pelaku meninggalkan komentar pada halaman skill sah, mendorong pengguna menjalankan perintah tertentu di terminal jika skill tidak berfungsi. Perintah tersebut sebenarnya dirancang untuk mengunduh malware dari server yang dikendalikan penyerang.

Analisis lebih lanjut oleh perusahaan keamanan AI Straiker mengungkapkan bahwa dari 3.505 skill yang dianalisis di ClawHub, setidaknya 71 di antaranya bersifat berbahaya. Beberapa skill menyamar sebagai alat cryptocurrency sah tetapi diam-diam mengalihkan dana ke dompet milik penyerang. Skill lain merupakan bagian dari skema penipuan berlapis yang memanfaatkan interaksi antar agen AI untuk menyebarkan modul berbahaya dan mencuri kunci privat dompet kripto.

Ancaman ini menyoroti risiko supply chain dalam ekosistem agen AI. Tidak seperti aplikasi tradisional, agen AI dapat menginstal dan menjalankan modul tambahan secara otomatis berdasarkan instruksi atau konteks tertentu. Hal ini menciptakan peluang bagi penyerang untuk menyisipkan kode berbahaya yang tampak sah.

Risiko keamanan OpenClaw juga menarik perhatian Microsoft, yang mengeluarkan peringatan resmi terkait deployment agen AI self-hosted. Tim Microsoft Defender Security Research Team menyatakan bahwa OpenClaw harus diperlakukan sebagai lingkungan eksekusi kode yang tidak sepenuhnya tepercaya. Jika agen AI dapat dimanipulasi untuk menjalankan kode berbahaya, hal ini dapat menyebabkan eksposur kredensial, modifikasi memori, atau kompromi sistem host.

Microsoft merekomendasikan agar OpenClaw hanya dijalankan dalam lingkungan terisolasi seperti mesin virtual khusus atau sistem fisik terpisah. Selain itu, agen harus menggunakan kredensial dengan hak akses minimal dan hanya memiliki akses ke data non-sensitif. Pendekatan ini bertujuan membatasi dampak jika terjadi kompromi.

Rangkaian kerentanan dan serangan yang menargetkan OpenClaw mencerminkan realitas baru dalam lanskap keamanan siber. Agen AI bukan sekadar aplikasi biasa, tetapi entitas otonom dengan kemampuan interaksi luas terhadap sistem lain. Ketika agen semacam ini dikompromikan, dampaknya dapat meluas dengan cepat, terutama di lingkungan perusahaan yang terintegrasi.

Dengan semakin luasnya adopsi agen AI, keamanan runtime, integritas supply chain, dan kontrol akses menjadi faktor kritis yang tidak dapat diabaikan. Patch cepat yang dirilis OpenClaw menunjukkan respons yang proaktif, tetapi insiden ini juga menjadi pengingat bahwa teknologi agen AI memperkenalkan permukaan serangan baru yang memerlukan pendekatan keamanan yang lebih ketat dan berkelanjutan.

Jasa Sadap WhatsApp Marak Dijual di Indonesia, Ini Fakta Teknis yang Perlu Dipahami - 2026

Fenomena penjualan jasa sadap WhatsApp semakin mudah ditemukan di Indonesia, terutama melalui media sosial, forum internet, dan bahkan marketplace terbuka. Penyedia jasa ini mengklaim mampu mengakses percakapan WhatsApp target tanpa diketahui, sering kali dengan janji proses cepat dan tanpa memerlukan akses fisik ke perangkat korban. Klaim semacam ini menarik perhatian banyak orang, baik karena rasa penasaran, motif pribadi, maupun kesalahpahaman tentang bagaimana sistem keamanan WhatsApp sebenarnya bekerja.

Keberadaan jasa semacam ini memunculkan pertanyaan mendasar: apakah WhatsApp benar-benar dapat disadap dari jarak jauh dengan mudah seperti yang diklaim? Untuk menjawab pertanyaan tersebut, penting memahami terlebih dahulu bagaimana arsitektur keamanan WhatsApp dirancang. WhatsApp menggunakan sistem end-to-end encryption, sebuah mekanisme kriptografi yang memastikan bahwa hanya pengirim dan penerima pesan yang dapat membaca isi komunikasi. Bahkan pihak WhatsApp sendiri tidak memiliki akses ke isi pesan pengguna karena pesan tersebut dienkripsi di perangkat pengirim dan hanya dapat didekripsi di perangkat penerima.

Dalam implementasinya, setiap pesan yang dikirim melalui WhatsApp dilindungi oleh kunci enkripsi unik yang dihasilkan dan disimpan secara lokal di perangkat pengguna. Kunci ini tidak dikirim ke server dalam bentuk yang dapat digunakan untuk membaca pesan. Artinya, secara teknis, tidak ada cara langsung bagi pihak luar untuk mencegat dan membaca pesan hanya dengan mengakses jaringan atau server. Hal ini berbeda dengan sistem komunikasi lama yang tidak menggunakan enkripsi end-to-end, di mana pesan dapat dicegat dalam perjalanan.

Namun, meskipun sistem enkripsi WhatsApp kuat, ada metode lain yang sering disalahartikan sebagai “penyadapan.” Salah satu metode paling umum adalah penyalahgunaan fitur WhatsApp Web atau fitur perangkat tertaut. WhatsApp secara resmi menyediakan fitur yang memungkinkan satu akun diakses dari beberapa perangkat, seperti browser atau komputer. Fitur ini bekerja dengan cara menghubungkan perangkat baru melalui pemindaian kode QR dari perangkat utama. Jika seseorang berhasil mengakses perangkat korban dan memindai kode QR tersebut, maka mereka dapat melihat percakapan secara real-time dari perangkat lain.

Metode ini bukanlah peretasan terhadap sistem enkripsi WhatsApp, melainkan penyalahgunaan fitur resmi yang memang dirancang untuk akses multi-perangkat. Dalam banyak kasus, akses semacam ini hanya dapat dilakukan jika pelaku memiliki akses fisik ke perangkat korban, bahkan jika hanya untuk beberapa detik. Setelah perangkat tertaut, akses dapat bertahan hingga sesi tersebut diakhiri secara manual atau perangkat dikeluarkan dari daftar perangkat tertaut.

Selain itu, ada juga metode lain yang melibatkan kompromi perangkat, bukan sistem WhatsApp itu sendiri. Jika perangkat korban terinfeksi malware, spyware, atau aplikasi berbahaya, maka pelaku dapat memperoleh akses ke data yang ditampilkan di perangkat tersebut, termasuk pesan WhatsApp. Dalam skenario ini, pelaku tidak memecahkan enkripsi WhatsApp, tetapi membaca pesan setelah pesan tersebut didekripsi oleh perangkat korban. Ini merupakan perbedaan penting, karena titik lemah bukan pada WhatsApp, melainkan pada keamanan perangkat pengguna.

Banyak jasa sadap WhatsApp yang beredar memanfaatkan kurangnya pemahaman teknis masyarakat mengenai perbedaan ini. Mereka sering menggunakan istilah seperti “hack WhatsApp,” “sadap jarak jauh,” atau “akses tanpa diketahui,” padahal dalam praktiknya metode yang digunakan biasanya terbatas pada teknik sosial, akses fisik, atau manipulasi pengguna untuk memberikan akses secara tidak sadar. Dalam beberapa kasus, jasa semacam ini bahkan tidak benar-benar memiliki kemampuan teknis, dan hanya memanfaatkan kepercayaan korban untuk tujuan penipuan.

Dari sudut pandang teknis, meretas sistem enkripsi end-to-end WhatsApp secara langsung adalah tugas yang sangat kompleks dan tidak realistis untuk dilakukan oleh individu atau layanan komersial biasa. Sistem enkripsi yang digunakan WhatsApp didasarkan pada Signal Protocol, yang telah melalui audit keamanan oleh berbagai peneliti dan digunakan secara luas dalam aplikasi komunikasi yang membutuhkan tingkat keamanan tinggi. Hingga saat ini, tidak ada bukti publik yang menunjukkan bahwa sistem enkripsi WhatsApp dapat dipecahkan secara praktis dalam kondisi normal.

Yang lebih sering terjadi adalah kompromi pada sisi pengguna, seperti penggunaan perangkat yang tidak aman, instalasi aplikasi dari sumber tidak terpercaya, atau kurangnya kesadaran terhadap fitur keamanan yang tersedia. Dalam banyak kasus, keamanan sistem secara keseluruhan ditentukan oleh titik terlemah, dan titik tersebut sering kali berada pada perilaku pengguna, bukan teknologi yang digunakan.

Fenomena jasa sadap WhatsApp juga mencerminkan kesenjangan antara persepsi publik dan realitas teknis. Banyak orang membayangkan bahwa peretasan selalu melibatkan kemampuan teknis tinggi dan akses ke sistem internal, padahal dalam praktiknya, sebagian besar kompromi terjadi melalui metode yang jauh lebih sederhana, seperti mendapatkan akses ke perangkat atau memanfaatkan kelalaian pengguna. Hal ini menunjukkan bahwa keamanan bukan hanya tentang teknologi, tetapi juga tentang bagaimana teknologi tersebut digunakan.

Di sisi lain, WhatsApp sendiri terus mengembangkan fitur keamanan tambahan untuk meningkatkan perlindungan pengguna. Fitur seperti verifikasi dua langkah, notifikasi perangkat tertaut, dan kontrol sesi aktif memberikan pengguna kemampuan untuk memantau dan mengendalikan akses ke akun mereka. Fitur-fitur ini dirancang untuk memberikan transparansi dan kontrol lebih besar kepada pengguna atas keamanan akun mereka.

Maraknya penawaran jasa sadap WhatsApp di Indonesia menunjukkan bahwa isu keamanan digital semakin relevan dalam kehidupan sehari-hari. Namun, penting untuk memahami bahwa klaim yang beredar sering kali tidak mencerminkan realitas teknis yang sebenarnya. Sistem keamanan WhatsApp dirancang untuk melindungi komunikasi pengguna, dan dalam sebagian besar kasus, risiko terbesar bukan berasal dari kelemahan sistem, melainkan dari bagaimana perangkat dan akun digunakan.

Memahami bagaimana sistem ini bekerja memberikan perspektif yang lebih jelas tentang apa yang mungkin dan tidak mungkin dilakukan. Banyak yang mempercayai klaim yang belum tentu benar, pemahaman teknis yang tepat dapat membantu pengguna membuat keputusan yang lebih baik dan menjaga keamanan komunikasi mereka.